kubernetes mysql chown 操作不允许

Question

我目前正在试验 Kubernetes 并在本地运行的 ESX 基础设施上安装了一个小型集群。 我使用带有 Fedora 的 Project Atomic 安装了两个从节点和一个主节点。 集群已全部安装好并且似乎正在运行。 然而，我首先想要启动并运行一个 MySQL 容器，但无论我尝试什么，我都无法让它运行。

apiVersion: v1
kind: Pod
metadata:
  name: mysql
  labels: 
    name: mysql
spec: 
  containers: 
    - resources:
       limits :
          cpu: 0.5
      image: mysql:5.6
      name: mysql
      env:
        - name: MYSQL_ROOT_PASSWORD
          value: myPassw0rd
      ports: 
        - containerPort: 3306
          name: mysql
      volumeMounts:
        - name: mysql-persistent-storage
          mountPath: /var/lib/mysql
  volumes:
    - name: mysql-persistent-storage
      nfs:
        server: 10.0.0.2
        path: "/export/mysql"

对于我已经尝试过各种解决方案的卷，我尝试使用有声明和没有声明的持久卷。 我尝试使用 host volume 和 emptyDir，但是当容器启动时我总是遇到这个错误：

chown：更改“/var/lib/mysql/”的所有权：不允许操作

我一定是在做一些愚蠢的事情，但不知道在这里做什么？

Answer 1

好的，看来我可以回答我自己的问题，问题出在用作持久卷的 NFS 共享上。 我在导出中将它设置为“squash_all”，但它需要有一个“no_root_squash”以允许 root 以防 docker 容器在 nfs 绑定卷上进行 chown。

Answer 2

我用其他方式解决了这个问题。 关于允许 root 访问 NFS 客户机上导出的 NFS 目录，我与系统管理员发生了争执。 他有正当的安全原因不设置它，例如原因一和原因二- 阅读no_root_squash部分。

最后我不必请求no_root_squash 。 这就是我在不影响安全性的情况下使 mysql pod 运行的方法。

步骤1

执行到 pod 的容器中运行 mysql 镜像。 kubectl exec -it -n <namespace> <mysql_pod> -- bash

第2步

获取mysql用户的uid (999)和gid (999)。 cat /etc/passwd | tail -n cat /etc/passwd | tail -n或id mysql 。 mysql用户名可以在Dockerfile中指定的第二条指令中找到

步骤 3

更改对包含 docker 容器的/var/lib/mysql内容的目录的权限。 这很可能是您的PersistentVolume中指定的目录。 此命令在主机上执行，而不是在 Pod 中执行！！！

# PerisistentVolume
...
nfs:
    path: /path/to/app/mysql/directory
    server: nfs-server

运行chown 999:999 -r /path/to/app/mysql/directory

第4步

最后，在设置好所有内容后，部署您的 MySQL Pod（部署、副本集或您正在使用的任何内容）。

Answer 3

这也可以通过使用 Kubernetes 的 securityContext 定义让 mysql 容器以拥有 nfs 卷的相同 uid 运行来解决。

containers:
- name: mysql
  image: ...
  securityContext:
    runAsUser: 2015
    allowPrivilegeEscalation: false

这里的2015应该替换为 nfs 路径上的任何所有权。